북한

CoinBureau는 체인 조사관 ZachXBT의 말을 인용하여, 의심되는 북한 관련 공격자가 Zcash를 통해 Bitget에서 도난당한 자금을 차단하고 있다고 전했습니다. 약 2700개의 ZEC, 가치 약 380만 달러의 자금이 Zcash의 Ironwood로 전송되기 시작했습니다.이 도난당한 ZEC는 차단 풀로 전송되고 있으며, 거래 세부 사항은 숨겨질 수 있습니다. Bitget은 여러 자산과 관련된 총 약 3.88억 달러의 보안 사건에 연루되어 있으며, 약 18900개의 ZEC, 가치 약 2830만 달러가 도난당했습니다. 이전에 Bitget의 CEO Gracy Chen은 도난당한 자금을 회수하는 것에 대해 "그다지 낙관적이지 않다"고 말했습니다.

보험 저널에 따르면, 블록체인 분석 회사 Elliptic이 북한과 관련된 50건 이상의 보안 사건을 추적했으며, 올해까지 도난당한 자금은 약 12억 달러에 달한다고 밝혔습니다.일부 Bitget에서 도난당한 자금은 지난해 Bybit 거래소에서 발생한 15억 달러 도난 사건과 관련된 주소와 중복되어 있으며, 블록체인 상의 세탁 모델은 이번 Bitget 사건이 해커 조직 TraderTraitor에 의해 발생했음을 초기적으로 보여줍니다.

체인 분석가 Specter의 모니터링에 따르면, 북한은 여러 체인에서 자금을 세탁하고 있으며, dYdX, Noble 및 Osmosis와 같은 기본 체인도 포함되어 있으며, dYdX에서 영구 계약 포지션을 열었습니다.

GoPlus Security는 X 플랫폼에서 THORChain 자금 유출이 검증자가 TSS 임계값 서명을 통해 적극적으로 서명해야 한다고 발표했으며, 이는 비트코인 및 이더리움과 다릅니다. Bitget에서 도난당한 자금 중 약 101.5 BTC(약 850만 달러)가 이미 전송되었고, 약 2763만 XRP(약 4300만 달러)가 BTC로 교환되고 있으며, 북한 관련 주소를 차단할 것을 촉구하고 있습니다.

체인 탐정 Specter의 모니터링에 따르면, 체인 상의 자금 흐름을 추적함으로써 북한 해커 조직 Lazarus Group이 Bitget 해킹 사건의 배후 공격자일 가능성이 있습니다. 이번 사건은 올해 7월 발생한 AFX 공격과 연관이 있으며, 후자는 약 2400만 달러의 손실을 초래했으며 Lazarus Group과 관련된 TraderTraitor에 귀속됩니다.Bitget에서 도난당한 XRP는 크로스 체인을 거쳐 관련 자금 경로가 AFX 공격에서 도난당한 자금과 직접 연결될 수 있습니다.

Bitget CEO 그레이시 첸은 플랫폼 보안 사건 라이브 Q&A에서 초기 조사 결과, 일부 관련 IP 주소가 특정 북한 해커 조직이 사용하는 VPN 서비스와 일치하며, 공격 방식도 북한 해커의 이전 행동과 유사하다고 밝혔습니다. 따라서 해당 조직이 약 3.516억 달러가 관련된 이번 공격에 참여했을 가능성을 배제할 수 없습니다. 관련 귀속은 아직 초기 조사 단계에 있습니다.그레이시 첸은 Bitget이 현재 이번 사건이 내부 직원의 범행이라고 생각하지 않는다고 말했습니다. 공격자는 플랫폼 시스템에 직접 침입하여 자금을 이동시켰으며, 사용자 출금 요청을 위조하지 않았고, 콜드 월렛이나 핫 월렛의 개인 키를 확보하지도 않았습니다. 조사관들은 여전히 구체적으로 영향을 받은 시스템과 공격자의 침입 방식을 확인하고 있습니다.

포브스에 따르면, 미국 연방수사국(FBI)과 일본 경찰청(NPA)을 포함한 다국적 기관들이 공동으로 발표한 경고에 따르면, 북한과 관련된 해커 조직 WaterPlum(또는 Contagious Interview)이 2025년 12월부터 2026년 7월까지 AI, 암호화폐 또는 NFT 분야의 회사로 가장하여 가짜 직업을 제공하며 전 세계 IT 개발자들을 공격하고 있습니다.공격자는 소셜 미디어와 채용 플랫폼을 통해 구직자에게 접근하여 기술 면접이나 프로그래밍 테스트를 이유로 악성 파일을 다운로드하도록 유도하여 3만 대 이상의 장치를 성공적으로 감염시켰으며, 100개 이상의 국가와 지역에 걸쳐 있으며, 7000개 이상의 암호화폐 지갑에서 데이터를 훔쳤습니다. 관련 자금은 최소 1071만 달러가 공격자가 통제하는 지갑으로 유입되었습니다.

일본 경찰청이 FBI, ASD/ACSC, BND 및 BfV와 공동으로 발표한 경고에 따르면, 북한 배경의 사이버 공격 조직 "WaterPlum" (또는 Contagious Interview)이 구직자를 대상으로 AI, 암호 자산 및 NFT 기업으로 가장하여 허위 채용 정보를 게시하고, 구직자가 BeaverTail, InvisibleFerret, OtterCookie 등의 악성 소프트웨어가 포함된 NPM 패키지를 다운로드하도록 유도하여 암호 자산 지갑 정보 및 기밀 데이터를 탈취하고 있습니다.2026년 7월 기준으로, 이 조직은 전 세계 100개 이상의 국가 및 지역에서 3만 대 이상의 장비를 감염시켰으며, 7000건 이상의 암호 자산 지갑 정보를 탈취하였고, 이들이 통제하는 지갑은 최소 약 17억 엔(약 1071만 달러)의 암호 자산을 수령하였습니다. 일본 경찰청은 국내에서 본토 "지지자"가 설립한 "노트북 농장"을 처음으로 발견하고 해체하였으며, 북한 IT 노동자가 원격으로 지지자의 거주지 내 PC를 조작하여 업무를 수행하고, 관련된 사건 금액은 수억 엔에 달합니다.경찰청과 FBI는 WaterPlum 및 일부 북한 IT 노동자가 북한 노동당 중앙위원회 군수 산업부 313 총국의 통일 지휘를 받고 있으며, 이들이 얻은 수익은 북한 국가 자금 풀로 직접 유입된다고 평가하고 있습니다. 경찰은 IT 기술자 및 기업 발주자에게 경계를 강화하고, 검증되지 않은 환경에서 제3자 코드를 실행하지 않도록 주의할 것을 당부하고 있습니다.

코인텔레그래프에 따르면, 체인알리시스 보고서에 따르면, 지난 12개월 동안 공격자들이 공공 블록체인에 악성 소프트웨어 지침이나 인프라 정보를 저장한 횟수가 420% 증가했습니다. 국가 배경 해커들은 매 분기 약 3분의 2의 신규 활동을 기여하고 있습니다. 체인알리시스는 이전에 귀속되지 않았던 트론, 앱토스 및 BNB 스마트 체인 활동을 북한 배경 조직 UNC5342와 연관 지었습니다.보고서는 트론과 앱토스 거래의 인코딩 포인터가 감염된 장치를 동일한 BSC 거래로 안내하며, 여기에는 원격 접근 및 데이터 도용 인프라에 연결하기 위한 암호화된 서버 주소와 구성 데이터가 포함되어 있다고 지적했습니다. 공공 블록체인 상의 정보는 도메인, 서버 또는 코드 저장소가 종료된 후에도 여전히 접근 가능하여 악성 소프트웨어 활동의 지속성을 높입니다. 2025년 북한 해커들은 유사한 기술인 이더하이딩을 사용하여 스마트 계약에 도난 코드가 삽입되었습니다.또한, 2025년 7월 이후 악성 블록체인 기록량이 440% 증가했으며, 당시 고용량 오픈 소스 중국 AI 모델이 악성 코드를 생성할 수 있는 능력을 갖추기 시작했습니다. 체인알리시스의 사이버 범죄 연구 책임자인 에릭 자딘은 명확한 시간점 연관성을 발견했지만 공격자들이 이러한 모델을 사용했다는 것을 증명할 수는 없다고 말했습니다.체인알리시스는 또한 이란 정보부와 연관된 것으로 의심되는 위협 행위자를 식별했으며, 인코딩 명령과 제어 라우팅 데이터를 비트코인 블록체인에 기록하고, 나카모토와 역사적으로 연관된 유명 주소로 소액 결제를 전송했습니다. 이 주소는 공격자와는 관련이 없으며, 감염된 장치가 업데이트 지침을 얻기 위한 영구적인 공공 위치로 사용됩니다.

NBC 보도에 따르면, 북한은 이란, 레바논 등 제3국의 원거리 IT 직원들을 활용하여 미국 기업에 침투하고 자금을 확보해 무기 계획을 지원하고 있다. 미국 및 여러 외국 기관이 7월에 발표한 경고에 따르면, 북한 IT 직원들은 "계약 체결을 원하며, 급여를 북한 관련 기관으로 송금할 의도가 있다"고 하며, 기업에 내부 위협을 가하고 데이터 유출, 암호화폐 도난 및 민감한 정보 탈취와 관련이 있다.미국 등 여러 나라 정부가 반격을 강화함에 따라, 북한은 제3국 IT 직원들을 통해 구직 면접을 활용하여 점점 더 많은 계약을 체결하고 있으며, 관련 직위는 보통 북한 특공대가 인수한다. 보도에 따르면, 이러한 외국 IT 직원들은 LinkedIn에서 발굴되며, 일부는 매달 약 500달러의 암호화폐를 받아 "면접 보조자"로 파트타임으로 일하고 있다.Cointelegraph는 5월에 사이버 보안 회사 CrowdStrike의 데이터를 인용하여, 북한 국가 관련 해커 및 위협 행위자들이 2025년에 초래한 암호화폐 손실이 20억 달러를 초과하며, 이는 전년 대비 51% 증가한 수치라고 보도했다. 한국 중앙은행은 글로벌 제재에도 불구하고 북한의 2025년 GDP가 여전히 3.5% 성장할 것으로 추정하고 있다.

한국 연합 뉴스에 따르면, 미국 워싱턴 D.C. 연방 법원이 북한 해외 IT 노동자의 자금 세탁과 관련된 지갑 자산을 압수하라고 명령했습니다. 이 자산에는 158,123 USDC와 54,574 USDT가 포함되어 있으며, 총 가치는 약 21.27만 달러입니다. 미국 법무부는 총 774만 달러에 달하는 북한 관련 암호 자산의 압수를 추구하고 있습니다.

Arkham 블록체인 데이터에 따르면, 북한 국가 지원 해커 조직인 Lazarus Group과 관련된 지갑이 지난 3주 동안 탈중앙화 영구 계약 거래 플랫폼 Hyperliquid에서 3천만 달러 이상의 비트코인을 판매하고, 그 자금을 이더리움과 솔라나 구매에 사용한 후 Kraken, LBank, KuCoin과 같은 중앙화 거래소로 이전했습니다. Kraken은 업계 선도적인 규제 프로그램을 유지하고 있으며, 제재를 받은 지갑과 관련된 자산을 식별하고 차단하기 위해 블록체인 활동을 지속적으로 모니터링하고 있다고 응답했습니다. LBank와 KuCoin은 관련 위험이 업계 전체가 직면한 지속적인 도전이라고 언급하며, 공개된 블록체인 데이터가 플랫폼 차원의 규제 조치를 반드시 반영하지는 않을 수 있다고 강조했습니다.이 사건이 발생하는 가운데, 트럼프 정부는 Hyperliquid를 규제된 미국 금융 시스템에 포함시키는 방안을 모색하고 있습니다. 트럼프는 이달 초 백악관 행사에서 미국 상품선물거래위원회 의장 Mike Selig이 Hyperliquid를 미국에 완전하게 규정 준수하는 방식으로 도입하기 위한 경로를 마련하고 있다고 밝혔습니다. 블룸버그 보도에 따르면, Kraken 모회사인 Payward는 미국 거래자에게 영구 계약을 제공하기 위해 Hyperliquid Labs와 심도 있는 협상을 진행 중입니다.Hyperliquid는 탈중앙화 영구 계약 분야의 주도적인 플랫폼으로, 사용자는 전통적인 중개 계좌나 KYC 검토 없이 암호화 지갑을 직접 연결하여 거래할 수 있습니다. DefiLlama 데이터에 따르면, 그 누적 영구 계약 거래량은 5조 달러를 초과했으며, 현재 미결제 계약은 약 133억 달러입니다.

Cryptopolitan에 따르면, 공격자는 공급망 공격을 통해 세 개의 널리 사용되는 Rust 코드 패키지의 악성 버전을 배포했으며, 그 중 arrayref라는 라이브러리는 약 4분의 3의 Rust 개발 환경에서 사용됩니다. 악성 업데이트는 사용자가 프로젝트를 컴파일할 때 자동으로 로그인 정보를 훔치는 백도어를 숨기고 있으며, 영향을 받은 버전을 컴파일한 사용자는 컴퓨터와 키가 노출되었을 수 있습니다.Wiz 연구원들은 arrayref 공격의 명령 및 제어 경로가 북한 해커 조직 Sapphire Sleet 및 UNC1069가 사용하는 Mastra 행동과 겹친다고 지적했습니다. IP 주소는 동일한 보안 인증서를 공유하며 동일한 호스팅 업체인 Hostwinds를 사용합니다. 공격자는 단지 철자가 틀린 proc-macro1 의존성을 추가하여 인기 있는 proc-macro2를 모방했으며, 기존 코드는 수정하지 않아 테스트와 빌드를 통과했습니다. 공격은 게시된 지 86분 후에 삭제되었지만 이미 대량으로 다운로드되었습니다. 영향을 받은 패키지는 Solana 및 Ethereum 도구에서 널리 사용됩니다. Rust 팀은 유지 관리자의 비악의적 행동을 믿고 있으며, 그들의 장치나 자격 증명이 침해되었을 수 있다고 생각합니다.

코인텔레그래프에 따르면, 사이버 보안 회사 BCA LTD의 창립자 마우로 엘드리치와 텔레포니카 테크의 사이버 위협 정보 분석가 하이너 가르시아가 가짜 암호화 스타트업 "Ballena Azul"을 공동 설립하여, 의심되는 북한 IT 근로자를 통제된 가상 데스크톱 환경에서 최대 5주 동안 작업하도록 유도하고 그 행동을 전면 감시했습니다.조사에 따르면, 관련 근로자가 사용한 외부 서버는 이전에 InvisibleFerret, BeaverTail 및 OtterCookie와 같은 악성 소프트웨어를 배포한 북한의 사이버 작전 인프라와 연결되어 있습니다; 근로자는 또한 ChatGPT를 통한 프로그래밍 보조 및 Google Gemini를 통한 신원 문서 위조에 크게 의존했습니다. 연구자들은 북한 IT 근로자들이 미국 신원을 위조하여 원격 근무를 얻었으며, 그로 인해 얻은 급여가 결국 평양 정권의 대량 살상 무기 프로젝트로 흘러간다고 지적했습니다. 미국 재무부의 데이터에 따르면, 이러한 계획은 2024년 북한에 거의 8억 달러의 수익을 창출할 것으로 예상됩니다.

비트코인닷컴에 따르면, 사이버 보안 회사 Genians Security Center가 발표한 분석 보고서에 따르면, 북한 정찰총국 산하 해커 조직 Kimsuky가 AI를 핵심으로 하는 사이버 공격 도구 체계를 구축하고 테스트하고 있다고 합니다. 연구자들은 그들의 인프라에서 Ollama, GPT4All, Msty 세 개의 로컬 AI 플랫폼의 배치 흔적과 Microsoft Semantic Kernel, LLaMaSharp 등의 AI 개발 프레임워크 구성 요소를 발견했으며, 이는 해당 조직이 임시적인 시도가 아닌 전문 AI 공격 도구를 체계적으로 개발하고 있음을 나타냅니다.2026년 초부터 Kimsuky는 생성형 AI로 제작된 고품질 문서를 가상 자산, 금융 투자 및 게임 개발 분야를 겨냥한 피싱 공격에 사용하고 있으며, AI가 생성한 전문 문서는 전통적인 피싱 이메일 인식의 유효성을 크게 낮추고 있습니다. 공격 매개체는 합법적인 문서로 위장한 ZIP 압축 파일로, 악성 LNK 파일이 포함되어 있으며, 트리거되면 백그라운드에서 PowerShell 명령을 조용히 실행할 수 있습니다.

암호화폐 거래소 Bybit는 미국 콜롬비아 특별구 연방 지방법원에 민사 소송을 제기하였으며, 북한, 북한 정찰총국 및 해커 조직 Lazarus Group를 상대로 소송을 진행하고 있습니다. 이 사건은 2025년 2월 약 15억 달러가 도난당한 사건과 관련이 있습니다. Bybit는 판사가 사건 심리 기간 동안 식별된 도난 자산의 이전 또는 처분을 금지하는 초기 금지 명령을 승인하였으며, Bybit가 실체 문제에서 승소할 가능성이 높다고 판단하고 있다고 밝혔습니다.소송은 또한 관련 자금을 보유하거나 이전하는 미지의 개인 및 단체를 John Doe 피고로 명시하고 있습니다. Bybit는 약 4840만 달러가 회수되었고, 약 3050만 달러가 28개 이상의 거래소 및 수탁 기관에서 동결되었다고 밝혔으며, 두 금액의 합계는 도난 금액의 약 5%를 차지합니다. 공격자는 2025년 2월 Bybit의 콜드 월렛에서 약 50만 개의 ETH를 이체하였으며, 대부분의 자금은 이후 Thorchain을 통해 비트코인으로 교환되고 믹싱 서비스를 통해 이전되었습니다. Bybit는 사건이 형사 조사와 병행하여 진행되고 있다고 밝혔습니다.

암호화폐 거래소 Bybit는 북한 민주주의 인민공화국, 그 정보 기관인 정찰총국(RGB) 및 국가 제재를 받은 해커 조직인 라자루스 그룹에 대해 15억 달러 규모의 해킹 사건과 관련하여 민사 소송을 제기했습니다.미국 연방 법원은 소송 기간 동안 사건과 관련된 식별된 자산의 이전 또는 소멸을 금지하는 임시 금지 명령을 발부했습니다.

Wired에 따르면, 북한 해커 조직 시스템에 거의 2년 동안 잠입해 있던 보안 연구원이 경고를 발했습니다. 개인 직원과 계약자를 대상으로 한 공격 수단이 매우 효과적이며 영향 범위가 광범위하여 전 세계 많은 조직이 침해를 당했다고 합니다.그리스 사이버 보안 연구원 Vangelis Stykas는 22개월 전 북한 시스템에 접근한 이후, 57개 국가의 1,640개 회사가 북한 해커의 공격을 받았다는 증거를 발견했다고 밝혔습니다. 이 중 약 700에서 800개의 영향을 받은 조직이 "매우 파괴적인" 침해를 겪었습니다.

한국 언론 Daily NK의 보도에 따르면, 북한 당국은 7월 12일 정예 해커 집단을 체포했으며, 이 집단은 북한 중앙은행과 외무은행의 내부 네트워크를 해킹하여 국가 무역 자금을 훔치고 암호화폐를 통해 돈세탁을 한 혐의를 받고 있다. 소식통에 따르면, 이 집단의 수장은 북한 정찰총국 산하 사이버 전쟁 부대의 퇴역 군인으로, 김책공업대학과 평양과학기술대학의 천재 IT 졸업생들을 모집하여 암호화 통신과 무선 장비를 이용해 범죄를 저질렀다.그들은 도난당한 자금을 소액으로 나누어 해외 암호화 지갑으로 이체한 후, 중개인을 통해 현금으로 교환하고, 다시 국경 지역에서 달러 등의 자금으로 환전했다. 평양 관료들은 외화 지급 승인 이상과 해외 IP 접근 기록을 발견한 후 조사를 시작했으며, 결국 안전 가옥을 급습하여 돈세탁 중인 용의자를 체포하고 수십만 달러의 장비를 압수했다. 이 사건은 평양의 엘리트와 군 관계자들 사이에 충격을 주었으며, 정찰총국과 과학 교육계 고위층은 연루될까 우려하고 있다. 북한은 이전에 Lazarus Group과 같은 해커 조직을 통해 수십억 달러의 암호 자산을 탈취한 혐의를 받아왔으나, 이번 사건은 자국 금융 시스템이 내부 공격의 목표가 되었음을 드러내는 드문 사례이다.